Concursos y geolocalización: segmentar por zona sin infringir el RGPD

¿Cómo restringir geográficamente un concurso sin infringir el RGPD?

Las empresas regionales, franquiciadas o sujetas a restricciones legales (alcohol, juegos de azar, productos farmacéuticos) deben segmentar a los participantes por zona geográfica. Sin embargo, la geolocalización en tiempo real constituye una recogida de datos de localización, clasificada como dato sensible por el RGPD. Para mantener la conformidad, debe obtener un consentimiento explícito y específico antes de cualquier recogida, documentar su base legal (interés legítimo u obligación legal) y minimizar la cantidad de datos recogidos priorizando soluciones ligeras que identifiquen una zona sin rastrear al usuario de forma continua.

¿Qué es el dato de localización según el RGPD?

El dato de localización se define en el RGPD como toda información que permita determinar la posición física de una persona. Aparece en el artículo 4 del reglamento, que lo convierte en un elemento clave de la protección de los datos personales. Contrariamente a los mitos habituales, la geolocalización no se clasifica explícitamente como «dato sensible» al mismo nivel que la biometría o el origen racial. No obstante, puede revelar indirectamente datos sensibles: la localización en un médico, una mezquita, un bar o un casino expone información sobre la salud, las convicciones religiosas o los hábitos. Por eso las autoridades de protección de datos (como la CNIL francesa) recomiendan una vigilancia reforzada.

En un contexto de concurso, por tanto, recoge un dato de carácter personal que merece un tratamiento jurídico riguroso: consentimiento previo, transparencia completa en la política de privacidad, derecho de acceso y de supresión para el usuario.

Técnicas de verificación de zona sin rastreador continuo

En lugar de utilizar una geolocalización GPS activa o un seguimiento de posición continuo (muy invasivo), varios métodos legítimos permiten validar que un usuario se encuentra en una zona elegible:

Verificación mediante dirección IP (desvelamiento progresivo)

La dirección IP del usuario puede utilizarse para estimar su región, sin consentimiento RGPD específico si ya se recoge como dato de registro (server log). Bases de datos como MaxMind GeoIP2 o similares asignan los rangos de IP a zonas geográficas con una precisión de 50 a 100 km según el proveedor de internet. Ventaja: no requiere un pop-up de consentimiento adicional, ya que la IP es un elemento técnico estándar. Límite: precisión insuficiente para un barrio o un local comercial concreto, y no es robusta frente a las VPN.

Geolocalización HTML5 (con consentimiento explícito)

Si utiliza la API Geolocation del navegador (W3C), esta requiere un pop-up de consentimiento nativo antes de cualquier primer uso. El usuario ve «Este sitio solicita acceso a tu ubicación» y puede rechazarlo. Técnicamente, este consentimiento no está vinculado al consentimiento RGPD de cookies, sino al permiso de la plataforma (SO o navegador). Sin embargo, la CNIL recomienda vincular este consentimiento a su solicitud RGPD: en su banner de cookies/consentimiento, indique explícitamente que va a utilizar la geolocalización del navegador para validar la elegibilidad del concurso.

Datos declarativos (autoservicio del usuario)

Algunos concursos simplemente piden al usuario que indique su código postal o su ciudad durante el registro, sin recogida automática. Sigue siendo un dato personal, pero es menos invasivo porque es voluntario y claro. El usuario sabe exactamente qué se recoge y puede rechazarlo o mentir. Es un buen compromiso RGPD/UX para los concursos no críticos. Para las actividades estrictamente reguladas (casinos, apuestas), una verificación de dirección posterior (por ejemplo, en el momento del pago del premio) refuerza la fiabilidad.

Combinación IP + dirección declarada

Un enfoque híbrido saludable: recoger la IP (técnica, poco invasiva) y luego pedir al usuario que confirme su código postal. Compare ambos: si la IP indica la región de Isla de Francia y el usuario declara el 75001, es coherente. Si la IP indica Suiza y el código postal es 75001, existe una duda (VPN o mentira), y puede solicitar una verificación adicional antes de declarar el premio.

Gestión de los falsos positivos: VPN, itinerancia y turismo

¿Por qué las VPN distorsionan las restricciones geográficas?

Un usuario puede ocultar su verdadera localización utilizando una VPN (red privada virtual), que hace que la IP aparezca como la de un servidor situado en otra región o país. Para un concurso restringido a Francia, una persona en Bélgica puede conectarse mediante una VPN francesa y eludir la restricción. Su sistema debe anticipar este caso sin infringir el RGPD ni bloquear a los usuarios legítimos que viajan.

Estrategias de detección sin sobrecarga RGPD

Método 1: zona horaria del navegador + IP Si la IP indica Francia (GMT+1) pero la zona horaria del navegador está configurada en UTC-5 (América del Norte), es un indicio de VPN o de viaje. Puede decidir emitir una alerta, pero no bloquear automáticamente (el usuario puede estar viajando legítimamente).

Método 2: verificación diferida mediante SMS o email En el momento de la validación del premio, envíe un SMS o un email de confirmación a la dirección facilitada. Si la dirección IP utilizada durante el registro difiere enormemente de la localización real (determinada por datos de negocio posteriores), puede solicitar una prueba documental (extracto bancario, factura de la luz) antes del pago.

Método 3: sin seguimiento continuo, snapshot en el registro Limite la recogida a un solo momento: al hacer clic en «Participar». Tras este snapshot, no actualice la localización. Así, un usuario que se conecta desde la VPN una sola vez y gana el premio no es rastreado de forma continua. Esto reduce drásticamente la invasividad RGPD.

Método 4: bonus/malus de confianza para los casos límite Si una IP corresponde a una VPN comercial conocida (lo que puede detectarse mediante bases de datos públicas de VPN), puede clasificar a este usuario en la categoría «A verificar» y reforzar la verificación de identidad antes del pago, sin bloquearlo al instante.

Alternativas a la geolocalización en tiempo real

Socios locales y códigos de promoción

En lugar de recoger datos de localización, proporcione códigos promocionales distribuidos localmente: un código único válido solo para puntos de venta físicos (tiendas, restaurantes) o compartido en emails dirigidos a clientes registrados en una zona. Esto crea una barrera de acceso que no implica seguimiento.

Base de datos de clientes existente (CRM)

Si es una franquicia o una cadena, ya dispone de una base de clientes con dirección conocida. Restrinja el concurso a los clientes registrados en su CRM, en lugar de extenderlo a toda la web. Este método supone un consentimiento previo para el CRM (ya obtenido en la compra) y minimiza la recogida de nuevos datos.

Limitación por dispositivo móvil o app

Si dispone de una app móvil, el concurso puede ser accesible únicamente a través de la app, donde los derechos de acceso a los permisos son más estrictos y mejor comprendidos por el usuario. Una app también permite verificar la suscripción, la localización de la última compra, etc., mediante datos de negocio que ya posee.

Restricciones por idioma, dominio de email o pago

Un concurso reservado a los residentes de Suiza puede limitarse a:

• Los dominios de email .ch o direcciones de bancos suizos
• El pago únicamente mediante tarjetas bancarias suizas (verificables mediante el código BIC)
• Un formulario con selección de cantón obligatoria (autodeclaración)

Estos métodos evitan la geolocalización técnica identificando al usuario mediante otras señales menos invasivas.

Marco legal: bases jurídicas y consentimiento

Base legal: interés legítimo vs. consentimiento

Según el artículo 6 del RGPD, la recogida de datos exige una base legal. Para un concurso con restricción geográfica, las bases posibles son:

Consentimiento (artículo 6.1.a): el usuario acepta explícitamente que recoja su localización para verificar su elegibilidad. Es la base más sencilla de justificar y la recomendada por la CNIL para los concursos. El consentimiento debe darse antes de la recogida, mediante una elección explícita (casilla de verificación), no una casilla premarcada.

Interés legítimo (artículo 6.1.f): puede argumentar que la restricción geográfica es necesaria para cumplir una obligación legal (por ejemplo, los juegos de azar prohibidos a menores de 18 años en determinadas zonas) o para proteger sus derechos. Sin embargo, debe equilibrarse mediante una evaluación de impacto. Un interés legítimo aislado («proteger nuestra marca») rara vez es suficiente para la geolocalización.

Obligación legal (artículo 6.1.c): si la ley le impone una restricción (por ejemplo, la autoridad francesa de apuestas solo puede operar legalmente en determinados departamentos), esta base le protege jurídicamente. Documente esta obligación en su política de privacidad.

Para la mayoría de los concursos comerciales, el consentimiento es lo más seguro.

Redacción de una cláusula de consentimiento geoespecífica

He aquí un modelo de cláusula conforme:

«Geolocalización para la elegibilidad al concurso

Para participar en este concurso, recogemos su localización (mediante la dirección IP de su conexión y/o su código postal declarado) con el fin de verificar que reside en [ZONA ELEGIBLE: Francia metropolitana / Isla de Francia / Suiza / etc.].

Este dato:

• Se recoge únicamente en el momento de su registro
• Se conserva durante [DURACIÓN: 6 meses / hasta el pago del premio]
• Se trata de conformidad con nuestra [ENLACE política de privacidad]
• Puede suprimirse a petición mediante [EMAIL/FORMULARIO]
• No se comparte con terceros comerciales

[CASILLA DE VERIFICACIÓN] Acepto la recogida de mi localización para verificar mi elegibilidad.»

Esta cláusula debe aparecer antes del botón «Participar», y el usuario no puede continuar sin haberla marcado. También debe repetirse en la política de privacidad completa.

Casos de uso sectoriales

Apuestas y juegos de azar

Los operadores de juegos de azar en línea están sujetos a regulaciones estrictas: los menores están prohibidos, las zonas de explotación están limitadas por licencia. Un concurso de apuestas debe verificar que ningún menor participe y que el usuario resida en zona de explotación legal.

Enfoque recomendado:

1. Recogida de la edad (mediante fecha de nacimiento declarada) - base legal: obligación legal
2. Restricción IP + código postal - base legal: obligación legal + consentimiento para la localización
3. Verificación KYC (Know Your Customer) reforzada antes del pago del premio (identidad, dirección, documento de identidad) - base legal: obligación legal

La CNIL y la autoridad reguladora de juegos en línea aceptan este enfoque multicapa porque concilia la protección de los menores y la conformidad con el RGPD.

Marcas de alcohol y tabaco

Como los juegos de azar, estos sectores están regulados: restricción de edad, limitación geográfica en determinados países (por ejemplo, el tabaco en Australia). Un concurso de una marca de ron debe verificar la edad Y la zona.

Enfoque:

• Solicitud de edad obligatoria (consentimiento parental posible para los menores, según el contexto)
• Restricción por zona si procede (a veces solo determinados países, no regiones)
• Sin seguimiento continuo tras el registro, ya que la edad y la zona no cambian

Marcas regionales y franquicias

Una panadería franquiciada en la región de Lyon que lanza un concurso regional debe asegurarse de que los participantes están en la zona de entrega. Una farmacia en Alsacia ofrece un vale de compra al ganador, válido solo en su departamento.

Enfoque:

• Recogida simple: código postal + dirección declarada
• Base legal: interés legítimo (garantizar la viabilidad del premio) + consentimiento
• Verificación posterior: antes del envío del premio, confirmar la dirección mediante un email/SMS

Estos casos están menos regulados que el alcohol/juegos, por lo que un consentimiento claro es suficiente.

Comercio electrónico con envío limitado

Un sitio de venta en línea organiza un concurso en Francia, pero solo envía a la metrópoli y Córcega. Restringe los participantes a esas zonas.

Enfoque:

• Solicitud del código postal o de la dirección completa de entrega
• Base legal: interés legítimo (validez de la entrega) + consentimiento opcional
• No se necesita geolocalización activa; la dirección declarada es suficiente

Puesta en conformidad práctica: checklist

1. Audite su base legal: ¿obligación legal, interés legítimo o consentimiento? Documéntela.
2. Elija la tecnología mínima: IP + código postal declarado suele ser suficiente. Evite el GPS/Bluetooth continuo.
3. Redacte una cláusula clara: antes del botón «Participar», explique por qué y cómo recoge la localización.
4. Intégrelo en el consentimiento de cookies: indique la geolocalización en su banner de cookies inicial o en un consentimiento separado.
5. Documente la conservación: especifique la duración (por ejemplo: 6 meses, o hasta el pago del premio).
6. Prepare los derechos de acceso: el usuario debe poder solicitar sus datos y hacer que se supriman.
7. Gestione los falsos positivos: anticipe las VPN, los viajes, y no bloquee automáticamente; solicite más bien una verificación adicional.
8. Pruebe su formulario: asegúrese de que el consentimiento se solicita y se registra realmente.
9. Forme a su equipo: atención al cliente, moderación y pagos deben saber justificar los rechazos geográficos.
10. Consulte a un DPO si es necesario: para los sectores regulados (alcohol, juegos, farmacia), un dictamen interno o externo refuerza la legitimidad.

Los errores que hay que evitar

Recoger la IP sin decirlo: aunque la IP sea un registro técnico, indicarlo en la política de privacidad en el contexto de un concurso es transparente.

Geolocalización permanente: tras el registro, no vuelva a actualizar la localización del usuario. Un snapshot es suficiente.

Bloqueo de VPN: bloquear sistemáticamente las VPN distorsiona los resultados (usuarios legítimos en viaje) y genera reclamaciones. Tolérelas y luego verifique antes del pago.

Cesión no divulgada: si comparte los datos de localización con un socio (servidor API externo), declárelo explícitamente en el consentimiento.

Ausencia de política de privacidad: un concurso sin política de privacidad infringe el RGPD, independientemente de la tecnología.

Consentimiento premarcado: una casilla ya marcada no es un consentimiento válido según la CNIL.

Conclusión: un equilibrio entre segmentación y respeto

La geolocalización no está prohibida por el RGPD, pero exige un marco riguroso. Para un concurso restringido geográficamente, combine una base legal clara (consentimiento u obligación legal), una tecnología mínima (IP + código postal > GPS continuo) y una transparencia total (cláusula de consentimiento explícita). Este enfoque le permite segmentar eficazmente a los participantes respetando la vida privada y la conformidad. Para los sectores regulados (alcohol, juegos, farmacia), refuerce la verificación en el momento del pago del premio. Documéntelo todo para justificar su conformidad en caso de control de la autoridad de protección de datos.